Sécure...ish

J'ai reçu un courriel d'un inconnu, y'a quelques semaines.

Le genre de message court qui te fait arrêter de scroller:

Le site en question avait été buildé avec Claude Code en quelques heures. Ça marchait, c'était propre, j'étais fier de moi.

Pis avant de le mettre live, j'avais fait ce que je fais tout le temps maintenant: j'avais demandé à mon agent si c'était sécuritaire.

Il m'avait sorti une réponse rassurante. Bonnes pratiques, pas d'enjeux évidents, bon travail.

Donc j'avais shippé.

Le courriel de l'inconnu est arrivé deux semaines plus tard.

Y'avait pas eu de crash. Pas d'alerte. Pas de message d'erreur. Rien qui indiquait que quelque chose clochait—jusqu'à ce que quelqu'un qui savait quoi chercher trouve.

C'est ça le vrai problème. Pas l'AI qui génère du mauvais code mais l'AI qui génère du code fonctionnel en apparence avec des angles morts.

(Pis du monde pas expérimenté côté sécurité qui vibe-code away... comme moé)

Le silence ≠ un signe que tout va bien. C'est juste... l'absence de feedback.

La confiance qui s'installe

Y'a quelque chose qui se passe quand tu utilises des outils AI depuis un moment.

Au début, tu vérifies tout. Tu relis le code. Tu testes manuellement. Tu demandes à un deuxième agent ce que le premier fait, ce qu'il génère. T'es sur tes gardes.

Mais tranquillement, la confiance s'installe. T'as vu tellement de bon output que tu commences à faire confiance au processus. Le code a l'air propre, le feature marche, les tests passent—next.

C'est humain. Même raisonnable, dans un sens.

Mais Cyndie Feltz, cofondatrice chez Yack, m'a sorti cette analogie:

Bref, tu sais pas ce que tu sais pas. C'est exactement ça.

Le volume, la vitesse, pis la QA qui disparaît

Le vibe coding, c'est magique pour shipper vite.

Mais y'a un effet secondaire dont on parle pas assez: plus tu vas vite, plus t'as du code et moins t'as de recul pour juger ce qui sort.

→ Un vidéo pertinent à regarder sur le dark code

Avant, un.e dev sénior écrivait chaque ligne. Elle comprenait le contexte, les implications, les angles morts. Là, t'as des milliers de lignes générées en quelques heures. De nouvelles fonctionnalités. De nouveaux endpoints. De nouveaux rôles dans ton app.

Cyndie le formule bien:

Le problème, c'est que la QA suit rarement le rythme.

Et les vulnérabilités, elles s'accumulent dans cet écart-là.

L'angle mort: les autorisations

J'ai demandé à Nicholas Milot—l'autre cofondateur chez Yack—c'est quoi le plus gros angle mort qu'il voit dans les apps SaaS en ce moment.

Sans hésiter: les autorisations.

C'est pas un bug qui fait flasher des alertes. Y'a pas de message d'erreur rouge dans ta console. C'est juste un user standard qui peut caller un endpoint d'admin—parce que quelqu'un a oublié de valider les permissions côté back-end.

Ça sonne simple, mais voilà comment ça arrive en pratique.

Tu build ton app. Au début, t'as deux rôles: admin et user. Simple. Tu sécurises ça correctement. Pas de trouble.

Après six mois, t'as rajouté un rôle viewer, un rôle manager, un rôle billing. T'as refactorisé trois fois. T'as utilisé quatre contextes de conversation différents avec ton AI pour builder les nouvelles fonctionnalités. Chaque conversation, le modèle a une vision partielle de ton app.

(Y'a moyen de bien te set up pour éviter ça, mais la majorité ont pas les connaissances ou la patience pour.)

Pis quelque part dans tout ça, y'a un endpoint qui retourne un 200 à quelqu'un qui devrait avoir un 403.

Dans une app multi-tenant, comme m'expliquait Nico, ça veut dire qu'un client peut voir les données d'un autre client. Juste parce que le check de permission a été oublié sur un seul endpoint, dans une seule route, dans un refactor fait à 2h du matin avec un LLM qui connaissait pas le contexte complet.

Réglable. Mais il faut prendre la peine de regarder.

Et la partie tricky, c'est que même les bons devs ont ce blind spot. C'est pas une question de compétence... plus une de volume et de contexte fragmenté. L'AI génère du code fonctionnel, mais il a pas de mémoire globale de la structure de permission de ton app à travers dix semaines de développement.

Deux trucs concrets pour te protéger

En attendant ton premier pen test, y'a des choses que tu peux checker toi-même.

1. Teste tes autorisations manuellement. Nico l'explique dans notre capsule cybersécurité: beaucoup d'apps mettent l'ID du user dans la requête API. Change l'ID pour celui d'un autre user. Si tu vois ses données, t'as un IDOR (Insecure Direct Object Reference) — la vulnérabilité #1 qu'ils trouvent en pen test. Supabase, par exemple, rend cette erreur-là facile à faire (excellent produit, mais faut l'utiliser comme il faut).

2. Tes clés API traînent probablement quelque part. J'ai moi-même eu une facture de 800$ chez OpenAI parce que ma clé était exposée. Nico confirme: les premiers caractères d'une clé API sont toujours les mêmes — tu peux les searcher sur GitHub et tu vas en trouver des tonnes. Mets des spending limits. Toujours.

Une chèvre qui crie après tes vulnérabilités

La question, c'est pas si tes autorisations sont parfaites. C'est: est-ce que t'as un moyen de le savoir?

C'est pour ça que Cyndie, Nico et Jacob ont buildé Tahr — le sidekick de Yack (oui, encore un animal de montagne 🐐). Tu branches ton staging, tu fournis ton API schema, tu définis tes rôles, et Tahr cherche les vulnérabilités que tu as laissé sur ton app incluant ce qui retourne un 200 quand ça devrait retourner un 403.

C'est en bêta privée. Inscris-toi à la waiting list si t'es curieux.

Quelque chose à ajouter? Good. Laisse un commentaire ou réponds à ce courriel direct.

Cheers,

Frank 💜

Des AI agents pour le web sans API 🤖

95% de l'internet n'a pas d'API. Les portails de cliniques médicales, les comptes d'électricité, les plateformes RH — Zapier et Make ne peuvent pas y toucher.

Deck a buildé des AI agents qui se connectent à n’importe quel portail protégé par un login avec tes credentials et font des actions at scale : soumettre des formulaires, migrer des données d’employés, télécharger des factures.

On a passé du temps avec YG (cofondateur & CEO) pour aller dans les détails.

Le levier que la plupart des founders ignorent

La plupart des founders diluent par défaut. Parce qu'ils connaissent pas l'alternative.

Finalta Capital finance tes crédits d’impôt (RS&DE, CDAE, et autres) à 2x ce qu’une banque t’offrirait — sans te demander une seule action en échange. Et ils déboursent avant que tu aies même commencé à dépenser.

Ça change le game sur comment tu structures ta croissance, non? 🧠

Payer pour du stockage que tu utilises même plus 👹

C'est le genre de truc qui passe en dessous du radar. Ton S3 accumule des données inutiles depuis des mois — et AWS te charge pour chaque giga.

Unicorne détaille comment régler ça une bonne fois pour toutes :
lifecycle policies dans ton code, versionnées, appliquées uniformément. Pas juste un bucket patchwork.

Simple à implémenter. Facile à manquer si personne te le montre. 🤷

Rejoins les SaaSpals 👇

Merci tellement à tous nos SaaSpals. Votre support nous motive BIG TIME.

Partenaires certifiés SaaSpasse 💜

HUGE merci à tous nos partenaires certifiés pour cette année :

• Le Chiffre 🧾

• Leviat 👨‍⚖️

• Baseline 🤖

• Unicorne 🌩️

• Finalta Capital 💰

Podcast

Voici le dernier épisode du pod :

→ Ep.178 - Le gardien des héritages (40M$, death tech & AI)

Pas encore abonné au pod? Let’s go :

• Spotify

• Apple Podcasts

• YouTube

Okay bobye!